Yêu cầu bảo mật chính xác cho các chức năng đầu ra có thể mở rộng (XOF)?

bên trong Tài liệu FIPS202"Tiêu chuẩn SHA-3: Hàm băm dựa trên hoán vị và hàm đầu ra có thể mở rộng" một hàm đầu ra có thể mở rộng được định nghĩa là:

Hàm đầu ra có thể mở rộng (XOF) là một hàm trên các chuỗi bit (còn được gọi là thông báo) trong đó đầu ra có thể được mở rộng đến bất kỳ độ dài mong muốn nào.

Đó là tất cả các định nghĩa tôi có thể tìm thấy về điều đó. Tuy nhiên, định nghĩa này không nắm bắt được khái niệm rằng các bit phải là giả ngẫu nhiên hoặc bất kỳ yêu cầu bảo mật nào khác. Cách tôi thấy các hàm XOF được sử dụng (ví dụ như trong Dilithium) và cách chúng được thiết kế, chúng đáp ứng các yêu cầu bảo mật bổ sung, đáng chú ý nhất là không thể phân biệt được với các hàm giả ngẫu nhiên.

Những yêu cầu bảo mật bổ sung đó có được nêu ra ở đâu đó không? Khi thuật toán giấy/mật mã sử dụng XOF ở đâu đó, các giả định bảo mật ngầm định mà XOF phải đáp ứng là gì?